Un Liceo italiano è stato sanzionato dal Garante per la protezione dei dati personali per aver trasmesso alle famiglie i curricula integrali di docenti candidati a un progetto scolastico, in violazione dei principi del Regolamento Europeo sulla protezione dei dati (GDPR) e del Codice Privacy italiano.

Il fatto contestato

Secondo quanto accertato dall’Autorità (provvedimento n. 584 del 9 ottobre 2025), la scuola ha inviato i curricula vitae completi di quattro docenti a 44 famiglie di studenti, nell’ambito di una selezione per il reclutamento di figure professionali destinate a un progetto contro la dispersione scolastica.

Il documento trasmesso conteneva non soltanto informazioni professionali e di contatto, ma anche dettagli di attività svolte in ambito parrocchiale e oratoriale, ritenuti dalla docente ricorrente potenzialmente indicativi di convinzioni religiose.

Le ragioni del Garante

L’Autorità ha ritenuto illegittimo il trattamento dei dati personali perché:

• la trasmissione dei curricula alle famiglie costituisce un trattamento di dati personali;

• non esiste una base giuridica adeguata nel GDPR o nel Codice Privacy che legittimi tale comunicazione a soggetti terzi non previsti dalla legge;

• il mero avviso di selezione pubblicato dalla scuola non può sostituire una norma di legge come fondamento giuridico per un trattamento così invasivo di dati;

• il consenso dei candidati non è considerato valido nel contesto del rapporto di lavoro pubblico, dato il rapporto di asimmetria tra parti, e il legittimo interesse non è applicabile alle pubbliche amministrazioni in questo contesto;

• è stato violato il principio di minimizzazione dei dati, in base al quale devono essere trattate solo le informazioni strettamente necessarie allo scopo perseguito.

In sostanza, l’Autorità ha sottolineato che la scuola avrebbe potuto raggiungere l’obiettivo di coinvolgere le famiglie (ad esempio, nella scelta di personale da affiancare agli studenti) fornendo informazioni selezionate e non i curricula integrali.

La sanzione

A fronte di queste violazioni, il Garante ha:

• dichiarato illecito il trattamento di dati personali da parte dell’istituto scolastico;

• accertato la violazione degli articoli 5 (principi di liceità, correttezza e trasparenza) e 6 (liceità del trattamento) del GDPR, nonché dell’art. 2-ter del Codice Privacy;

• irrogato una sanzione amministrativa pecuniaria di 3 000 euro, riducibile a 1 500 euro se pagata entro 30 giorni.

La decisione del Garante contiene infatti un bilanciamento tra la finalità apprezzabile perseguita dalla scuola (favorire la partecipazione della comunità scolastica) e l’illiceità del trattamento dei dati senza adeguata base giuridica o misura di tutela.

Implicazioni per la scuola

Questo caso rappresenta un richiamo significativo alla conformità della scuola con le norme sulla protezione dei dati personali, in particolare:

• le istituzioni scolastiche, come pubbliche amministrazioni, non possono trattare o comunicare dati personali senza una chiara base giuridica;

• il semplice consenso dei lavoratori/candidati non è sufficiente in presenza di un rapporto di lavoro pubblico;

• le attività volte a coinvolgere le famiglie devono essere progettate evitando l’invio di dati personali non necessari e non previsti da norme specifiche.

La sanzione comminata dal Garante Privacy evidenzia come persino in contesti educativi e con finalità apprezzabili, come il contrasto alla dispersione scolastica, sia fondamentale osservare rigorosamente i principi di protezione dei dati personali per evitare trattamenti illeciti e potenziali violazioni dei diritti degli interessati.